Analizzare e conservare i Sophos Central Audit Log
Sophos Central registra le attività amministrative nell’Audit Log. Dopo un falso allarme, una modifica di policy o un accesso sospetto si può così determinare quale account abbia eseguito l’azione, quando e da quale indirizzo IP.
L’Audit Log non sostituisce un SIEM completo. Il portale visualizza ed esporta le attività degli ultimi 90 giorni. Per periodi probatori più lunghi, gli export vanno conservati per tempo fuori da Central. La pagina Audit Log non dichiara né una conservazione più lunga né un inoltro automatico.
Non confondere Audit Log ed Event Log
| Log | Domanda tipica |
|---|---|
| Audit Log | Chi ha modificato un ruolo, una policy, un’esclusione o un’impostazione? |
| Events | Che cosa ha segnalato un dispositivo protetto o un prodotto Sophos? |
| Alerts | Quale segnalazione valutata richiede indagine o intervento? |
Il blocco di codice dannoso appare come Event o Alert. La successiva chiusura dell’alert, un’esclusione globale o una modifica di ruolo è invece un’attività amministrativa nell’Audit Log.
Sophos precisa inoltre che i log disponibili in un tenant dipendono dalla licenza. Se manca l’intero tipo di log anziché una singola voce, controllare prima la licenza e poi il ruolo amministrativo.
Una registrazione può per esempio indicare la modifica di Users and Groups, riportare il nome di un utente appena creato come oggetto concreto o registrare l’autenticazione riuscita di un account Central. La combinazione di classe dell’oggetto, oggetto modificato, descrizione e account esecutore è più significativa di ciascun campo isolato.
Accesso e ruoli
Il percorso attuale è Reports > General logs > Audit Logs. L’accesso dipende dal ruolo amministrativo. La pagina Audit Log non indica però né un campo universale per le Custom Role né un ruolo obbligatorio: verificare il ruolo effettivamente assegnato nel proprio tenant.
L’accesso all’audit non va concesso indiscriminatamente a ogni account Help Desk. Le registrazioni contengono nomi degli amministratori, indirizzi IP e modifiche di sicurezza. Allo stesso tempo almeno un ruolo operativo deve avere accesso, così da poter esaminare gli incident anche senza l’account Super Admin.
Leggere correttamente i campi
Ogni voce contiene tipicamente:
- Date per data e ora,
- Modified by per l’account Central che ha eseguito l’azione,
- Item type per la classe di oggetto interessata,
- Item modified per l’oggetto concreto,
- Description per dettagli aggiuntivi,
- IP address per l’indirizzo sorgente dell’azione.
Modified by è poco informativo soprattutto con account condivisi. Per questo ogni persona deve avere un proprio account amministratore: una modifica registrata resta attribuibile senza dedurre più di quanto Sophos mostri.
Indagare nell’ordine corretto
Per una modifica sospetta si restringe prima l’intervallo rilevante. Per impostazione predefinita Central mostra gli ultimi sette giorni; nel portale il periodo può essere esteso fino a 90 giorni. Dopo una modifica della data o del termine di ricerca va selezionato Update.
La ricerca è volutamente limitata. Sophos documenta esattamente due tipi di ricerca:
- indirizzo IP da cui è stata eseguita una modifica,
- valore in Modified by.
Entrambi i tipi di ricerca vengono combinati con l’intervallo selezionato.
Senza termine di ricerca vengono mostrate tutte le attività dell’intervallo scelto. Senza intervallo, Central cerca per impostazione predefinita negli ultimi sette giorni. Questi due casi aiutano a riconoscere un filtro rimasto attivo.
In seguito le modifiche correlate vengono considerate come sequenza. Un’esclusione globale può per esempio seguire un login, una modifica di ruolo, un adeguamento di policy e la chiusura di un alert. Una singola voce non spiega questo contesto.
Usare correttamente l’esportazione
Central offre quattro opzioni di esportazione, con una differenza importante:
- CSV of current view e PDF of current view applicano tutti i filtri selezionati,
- CSV of past 90 days e PDF of past 90 days esportano gli ultimi 90 giorni; si applica solo il filtro di ricerca, non l’intervallo scelto.
L’esportazione si avvia con Export a destra nella pagina Audit Logs. Nel menu si sceglie consapevolmente la vista corrente o i 90 giorni e il formato richiesto. Prima del clic si rileggono termine di ricerca e vista, evitando di archiviare un file filtrato come se fosse l’intero audit.
Dopo l’esportazione il file viene rinominato subito in modo univoco, per esempio con tenant, periodo e data di creazione. Nomi standard come audit.csv non vanno lasciati invariati in una cartella collettiva.
CSV è adatto a filtri, correlazione ed elaborazione automatica. PDF è utile quando serve un’istantanea immutata per un ticket o un’approvazione. Per la conservazione delle prove si documenta anche un hash del file esportato e si archivia l’originale in sola lettura.
Conservare gli export senza lacune
Sophos indica un periodo visualizzabile ed esportabile di al massimo 90 giorni, ma non prescrive una frequenza operativa. Scegliere e monitorare una frequenza che impedisca alla voce non ancora conservata più vecchia di uscire da questa finestra. Una sovrapposizione intenzionale protegge dalle lacune dopo un errore; controllare poi periodo e contenuto.
Questa guida non promette l’acquisizione via API: la documentazione Audit Log esaminata descrive solo l’export manuale CSV e PDF. Prima di automatizzare, verificare nella documentazione API attuale del proprio tenant che i dati Audit Log siano realmente disponibili.
Una regola di conservazione appropriata definisce:
- team responsabile e luogo di archiviazione,
- durata secondo requisiti interni e legali,
- protezione dell’accesso e immutabilità,
- sincronizzazione temporale,
- test di ricerca e ripristino,
- procedura in caso di esportazione fallita.
Controlli importanti
L’Audit Log non si apre solo durante un incident. Campionamenti regolari verificano in particolare:
- accessi riusciti,
- utenti e gruppi aggiunti, modificati o eliminati.
Non dedurre altre azioni monitorate da un elenco desiderato. Per un controllo importante eseguire una modifica di test innocua, cercarla con Update e verificarla nuovamente dopo l’export. Solo allora il risultato va inserito nella propria procedura.
Problemi tipici
La modifica prevista manca
Controllare prima intervallo, filtro e Update. Rimuovere poi il filtro e ricaricare lo stesso intervallo. Se l’attività manca ancora, verificare se Sophos Central la monitori; la documentazione non promette la registrazione di ogni possibile azione.
L’esportazione contiene più dati della vista
Con past 90 days, l’intervallo selezionato nel portale non si applica come per current view. Per conservare prove in un intervallo ristretto si esporta la vista corrente e poi se ne verifica il contenuto.
Gli orari non coincidono con altri log
Stabilire prima il fuso orario e le regole dell’ora legale delle fonti confrontate. Correlare poi Modified by, indirizzo IP e un intervallo ristretto. La voce mostra data e ora, ma la pagina Sophos esaminata non documenta una colonna aggiuntiva per il fuso orario.
Manca l’accesso all’audit
Poiché l’accesso dipende dal ruolo amministrativo, farne controllare l’assegnazione da un amministratore autorizzato. Non cercare un nome di checkbox presunto universale: la pagina Audit Log esaminata non ne indica uno.